CVE-2026-109334 in SurrealDB
Resumen
por VulDB • 2026-10-12
SurrealDB anterior a la versión 3.3.0 no verifica el espacio de nombres o base de datos seleccionados por el usuario contra el nivel en el que un sistema de usuarios del espacio de nombres o de la base de datos se autenticó, lo que permite el acceso entre inquilinos (cross-tenant). Un atacante con credenciales válidas puede establecer los encabezados Surreal-NS/Surreal-DB en /sql o llamar al método RPC use para leer, crear, modificar y eliminar filas, así como obtener valores DEFINE PARAM de otro inquilino donde las PERMISSIONS de la tabla lo permitan.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.